NIS 2-loven fastsætter intet interval for en audit, så I vælger det selv. Et fast interval suppleret med en ekstra gennemgang efter store ændringer eller alvorlige hændelser er den model, kilderne peger på, og en årlig rytme er det pejlemærke, både forordningen og ENISA bruger.
Intervallet bør skrives ned og begrundes. Så kan ledelsen og senere tilsynet se, at hyppigheden er et valg og ikke en tilfældighed.
Det, kilderne siger
Loven selv er tavs om hyppighed. Kravet om at vurdere foranstaltningernes effektivitet i § 6, stk. 1, nr. 6 nævner ingen hyppighed.
Styrelsen for Samfundssikkerheds vejledning om foranstaltningerne bruger gennemgående udtrykket “med planlagte intervaller” sammen med væsentlige ændringer. Den er kun konkret ét sted af betydning her: informationssikkerhedspolitikken bør ajourføres årligt og ved væsentlige ændringer.
Gennemførelsesforordning (EU) 2024/2690 er mere præcis, men gælder kun de digitale enheder, den omfatter. Den kræver uafhængige gennemgange efter en plan, og desuden når der opstår væsentlige hændelser eller sker væsentlige ændringer i drift eller risici (bilaget, punkt 2.3.4). For risikovurderingen sætter punkt 2.1.4 et årligt minimum.
ENISA skriver i sin ikke-bindende vejledning til forordningen, at uafhængige gennemgange bør finde sted mindst årligt. ENISA nævner også, hvad der bør tages hensyn til: væsentlige hændelser, ændringer i driftsmiljøet, trusselsbilledet, lovkrav og politikker.
Ingen af de tre kilder gør et interval til krav for en almindelig enhed under loven. De giver tilsammen et rimeligt grundlag for at vælge, og valget hører hjemme i jeres politik for effektivitetsvurdering.
Sådan vælger I intervallet
Et årligt interval passer for de fleste, fordi det følger politikkens årlige ajourføring og ledelsens årshjul. Det giver også ledelsesorganet et fast punkt i sit tilsyn efter § 7.
Der kan være grunde til at vælge anderledes. En virksomhed med et lille og stabilt IT-miljø og få ændringer kan forsvare en længere periode mellem de fulde gennemgange, hvis den mellemtiden bruger egne kontroller. En virksomhed med hurtige ændringer, mange leverandører eller tjenester af stor samfundsmæssig betydning kan have brug for kortere afstand eller for at dele auditten op i områder, der tages på skift.
Den sidste model kaldes ofte et auditprogram. Hvert år tager auditten nogle af de ti foranstaltninger i dybden, og over en periode er alle dækket. Det er beskrevet i auditplan eller auditprogram. Mellem de eksterne gennemgange holder egenkontrol og årshjul styr på det løbende.
Det, der udløser en ekstra gennemgang
Ud over det faste interval kan visse begivenheder give anledning til en audit, der ikke var planlagt. Listen her er en tolkning, bygget på forordningens og ENISA’s formuleringer om væsentlige hændelser og ændringer.
En væsentlig hændelse, som I har underrettet om efter § 12, er den tydeligste. Her er spørgsmålet, om foranstaltningerne virkede, og om procedurerne blev fulgt. Den gennemgang er beskrevet i audit efter en væsentlig hændelse.
Et skift af driftsleverandør er et andet eksempel. Ingen kilde nævner det udtrykkeligt, men det er nærliggende at regne det som en væsentlig ændring i driften. Overdragelsen ændrer adgange, logning og backup, og den ændrer, hvem der i praksis hjælper jer med at underrette. Ansvaret for underretningen bliver hos jer. Hvordan kunden stiller krav til den nye leverandør, er et emne for leverandøraudit og kundens revisionsret.
Større omlægninger hører også med: en ny platform, en fusion af IT-miljøer, en ny tjeneste, der gør jer omfattet i en ny sektor, eller en ændret organisering af sikkerhedsarbejdet.
Endelig kan en ny vurdering af truslen mod jeres sektor begrunde, at bestemte områder kontrolleres før tid. Den tekniske del af en sådan ekstra gennemgang kan følge de tekniske kontrolpunkter, mens organisationens modenhed målt over flere år kræver en fast rytme.
Hvad det kræver, og hvad det koster at lade være
Et fast interval kræver en beslutning i ledelsesorganet og en plads i årshjulet. De ekstra gennemgange kræver, at nogen holder øje med de begivenheder, der udløser dem, og har mandat til at sætte en audit i gang.
Uden et valgt interval bliver auditten noget, der sker, når nogen kommer i tanke om det. Afstanden mellem gennemgangene vokser, og ledelsen mister sammenligningsgrundlaget mellem to rapporter. Uden udløsere bliver en stor ændring først kontrolleret ved næste planlagte audit, måske et år efter at risikoen opstod.
Det skal I lade være med
- At sige, at loven kræver en årlig audit · den sætter intet interval.
- At lade intervallet stå ubegrundet · skriv, hvorfor I har valgt det.
- At vente på næste planlagte gennemgang efter et leverandørskifte · ændringen bør kontrolleres, mens den er ny.
Det skal auditten kunne vise
- ☐ Det valgte interval og begrundelsen, godkendt af ledelsesorganet.
- ☐ En liste over begivenheder, der udløser en ekstra gennemgang.
- ☐ Datoerne for de seneste gennemgange og hvilke områder de dækkede.
- ☐ Væsentlige ændringer siden sidste audit, og om de er kontrolleret.
Kilder
- Retsinformation, lov nr. 434 af 6. maj 2025 (NIS 2-loven), læst 12. november 2026.
- Styrelsen for Samfundssikkerhed, Vejledning til NIS 2-loven. Implementering af cybersikkerhedsforanstaltninger, 1. udgave juni 2025, læst 12. november 2026.
- Kommissionens gennemførelsesforordning (EU) 2024/2690, læst 12. november 2026.
- ENISA, Technical implementation guidance on cybersecurity risk management measures, version 1.0, juni 2025, læst 12. november 2026.
Senest gennemgået: november 2026.
Næste skridt
Skriv intervallet og listen over udløsere ind i politikken for effektivitetsvurdering, og få den godkendt.
Læs også: Hvornår skal den første NIS2-audit ligge? · Opfølgningsaudit og lukkebevis
→ Kontakt · Tlf. 70 13 63 23 · NIS2-audit hos Nielco IT
